Методы обнаружения хостов

Проверка через ICMP-запрос

Принцип работы:
метод основывается на протоколе ICMP (обычно «ping»): сканер отправляет ICMP Echo Request на указанный адрес, а при доступности узел отвечает ICMP Echo Reply.

Область применения:

• широко используется во внутренних и внешних сетях для базовой проверки доступности узлов
• подходит, когда правила безопасности не блокируют ICMP, и устройство настроено отвечать на ping
• подходит для быстрого мониторинга рабочих станций и серверов, если ICMP разрешён

Преимущества метода:

• простая реализация, минимальный трафик
• быстрая реакция, если ICMP не фильтруется

Недостатки метода:

• часто ICMP блокируется фаерволами и настройками ОС
• при отсутствии ответа нельзя точно сказать, «мертвый» ли узел или просто не отвечает

Проверка через ARP-запрос

Принцип работы:
ARP (Address Resolution Protocol) работает на канальном уровне в локальной сети. Сканер отправляет широковещательный ARP-запрос «Кому принадлежит IP?». Активный узел отвечает своим MAC-адресом.

Область применения:

• применим только в локальных сетях (LAN), где сканер и цель в одной подсети
• идеален для ситуаций, когда узлы могут не отвечать на ICMP, но им нужен ARP для обмена IP-трафиком

Преимущества метода:

• выявляет все включённые устройства в локальном сегменте, даже если ICMP заблокирован
• быстрое и надёжное обнаружение внутри LAN

Недостатки метода:

• не работает за пределами локальной подсети (ARP не маршрутизируется)
• для отправки «сырых» ARP-кадров нужны привилегии администратора на сканере

Проверка через ARP, ICMP-запросы, а также TCP-ACK проверка портов


Принцип работы:
Сканер одновременно использует:

1. ARP-запрос (в локальном сегменте)
2. ICMP Echo Request
3. TCP-ACK-пакет на какой-либо порт

Хост считается доступным, если отвечает хотя бы на один из этих типов запроса.

Область применения:

• используется при максимальной необходимости охвата (например, комплексное сканирование)
• полезен в неоднородных сетях, где неизвестно, какие протоколы фильтруются

Преимущества метода:

• почти гарантирует ответ при существовании любого пути
• обходит фильтры, блокирующие один тип трафика

Недостатки метода:

• увеличенный объём запросов (три разных метода)
• ARP компонент применим лишь внутри LAN, а TCP-ACK и ICMP – для внешних узлов

Проверка через ICMP-запрос и TCP-ACK проверка портов

Принцип работы:
сканер отправляет ICMP Echo Request и одновременно TCP-пакет с флагом ACK на заданный порт. Узел доступен, если получил ответ хоть на один запрос (ICMP Echo Reply или TCP RST).

Область применения:

• часто используется во внешних сетях или интернет-сегментах
• подходит, когда ICMP может блокироваться, а TCP ACK может пройти через фаервол или наоборот

Преимущества метода:

• универсальная проверка на доступность без лишних запросов (только два типа пакетов)
• может выявить хост, блокирующий ping, но отвечающий на TCP ACK

Недостатки метода:

• если и ICMP, и ACK блокируются, узел окажется незамеченным
• необходимо знать, на какой порт отправлять ACK (часто 80, 443)

Считать доступным

Принцип работы:
хост автоматически помечается как «доступный», никаких пробных пакетов не отправляется. По сути, проверка пропущена – система предполагает, что узел всегда online.

Область применения:

• когда сетевые правила полностью блокируют любые «ping»-типы запросов, но вы хотите пробовать другие действия (например, сканировать порты, не дожидаясь ответа от ping)
• для уже известного списка целевых узлов, где не требуется предварительная проверка

Преимущества метода:

• экономит время и трафик при большом количестве адресов
• исключает ложные «недоступные» статусы, когда ping не проходит, а сам сервис работает

Недостатки метода:

• система не узнает заранее, отключён ли узел – перейдёт сразу к дальнейшим действиям
• при массовом сканировании без проверки можно тратить ресурсы на «мертвые» адреса

TCP-ACK проверка портов

Принцип работы:
сканер отправляет TCP-пакет с установленным флагом ACK на заданный порт. Если хост активен, обычно придёт RST-пакет в ответ (поскольку нет открытой сессии). Это указывает на доступность узла.

Область применения:

• нередко используется для обнаружения узлов, которые блокируют SYN или ICMP, но разрешают ACK
• может применяться при фильтрации «новых» соединений, а не неожиданных ACK

Преимущества метода:

• позволяет обойти простые firewalls, блокирующие только SYN
• даже закрытый порт ответит RST, давая понять, что IP активен

Недостатки метода:

• современные stateful-фильтры часто отбрасывают “лживый” ACK, поэтому ответ не придёт
• нужно выбрать «подходящий» порт, который не блокируется полностью

TCP-SYN проверка портов

Принцип работы:
сканер отправляет TCP-пакет с флагом SYN на выбранный порт. Если порт открыт или закрыт, цель отвечает (SYN/ACK или RST), и таким образом хост определяется как доступный. Сканер немедленно рвёт потенциальное соединение (RST), не доводя «трёхстороннее рукопожатие» до конца.

Область применения:

• отлично подходит для обнаружения узлов во внешних сетях, если ожидается, что какой-то TCP-порт у них слушает или хотя бы не полностью фильтруется
• способен обнаруживать «живые» хосты даже при фильтрации ICMP

Преимущества метода:

• высокая вероятность ответа, если порт не заблокирован целиком
• можно одновременно проверять, открыт ли нужный порт

Недостатки метода:

• если порт выбран неверно (полностью фильтруется), ответа не будет
• SYN-пакеты могут вызывать подозрения (часто ассоциируются со сканированием)

Проверка через ARP-запрос, ICMP-запросы

Принцип работы:
комбинация двух простых методов в рамках одной проверки. Для локальных хостов используется ARP, для IP-уровня – ICMP. Хост считается доступным, если либо вернулся ARP-ответ, либо ICMP Echo Reply.

Область применения:

• локальные сети без ограничений, где ARP и ICMP обычно разрешены
• упрощённая альтернатива к «всем» методам сразу, но без TCP

Преимущества метода:

• в LAN ARP ловит большинство узлов, которые не отвечают на ping
• дополнительная ICMP-проверка подтверждает IP-связность

Недостатки метода:

• для удалённых узлов за роутером ARP не применим (переходит только ICMP)
• если оба типа запросов блокируются, ответ не будет получен

Проверка через ARP-запрос и TCP-ACK проверка портов

Принцип работы:
сканер параллельно отправляет ARP-запрос (в надежде получить MAC-адрес в локальном сегменте) и TCP ACK-пакет на заданный порт (для IP-уровня). Хост считается онлайн, если сработал хотя бы один из методов.

Область применения:

• когда использование ICMP нежелательно или фильтруется, и хочется объединить ARP для LAN с ACK для потенциально удалённых хостов
• случаи, где ARP+ICMP недоступен (запрещён ICMP), но нужно локальное обнаружение + TCP-проверка

Преимущества метода:

• покрывает узлы в локальной сети (ARP) и те, кто может ответить ACK-пакетом
• может обходить фильтры, блокирующие ICMP

Недостатки метода:

• внешние узлы, блокирующие ACK, останутся незамеченными
• иногда избыточен: в локалке ARP обычно достаточно, а ACK может и не пригодиться

1. ICMP-запрос – простой способ «ping», если не заблокирован.
2. ARP-запрос – идеален для локальных сетей (LAN).
3. Комбинации ARP/ICMP/TCP – повышают вероятность обнаружения «тихих» или фильтруемых узлов.
4. TCP-ACK/SYN – применяйте во внешних сетях или там, где ping не проходит.
5. Считать доступным – пропускать стадию обнаружения, если уверены, что узел работает, либо если полностью запрещён любой «ping» трафик.

Используйте соответствующие методы в зависимости от структуры сети, конфигураций фаерволов и необходимости максимально возможного охвата активных устройств. В локальных сегментах чаще всего срабатывают ARP и ICMP, во внешних – комбинация ICMP/TCP. Когда нужно супер-надёжное обнаружение, включайте сразу несколько методов (например, ARP + ICMP + TCP-ACK).